数字证书应用集成规范.doc

数字证书应用集成规范
范围
本规范依据《公共资源交易电子认证服务管理办法(试行)》,参照国家密码管理局“公钥密码基础设施应用技术体系”系列技术规范,结合系统业务特点,提出系统数字证书应用集成目标、集成要求、集成内容,定义统一的证书应用接口,并提供证书应用接口的典型部署示例、登录认证流程示例和签名验证流程示例。
本规范用于指导并规范信息系统证书应用集成实施工作,指导电子认证服务机构发部标准统一的证书应用接口,规范信息系统实现基于数字证书的安全登录、数字签名和加密解密等安全功能。
应用集成目标
1) 遵循本规范要求新建或者修改的应用系统,在基于统一认证的多CA数字证书的身份认证机制下,可使用不同CA机构颁发的数字证书,实现数字证书的互通互认,并确保系统访问控制的高安全性和高可靠性;
2) 对信息系统的重要操作环节和重要数据实现基于多CA数字证书的数字签名功能,保护数据的完整性,并为后期纠纷处理及责任认定提供合法电子证据;
3) 对信息系统的敏感信息实现支持多CA的数字证书的数据加密功能,确保敏感信息在传输和存储阶段的安全性及多CA支持。
应用集成要求
在证书应用集成时,应根据应用系统本身的业务特点和业务需求,确定需要使用数字证书认证的用户及范围、确定需要加密、签名的重要操作环节和数据,具体集成要求如下:
2) 对于具有操作行为责任认定、证据保存需求的应用系统,应集成基于数字证书的数字签名的功能;
3) 对于具有数据加密和解密需求的信息系统,应集成基于数字证书的信息加密、信息解密功能;
4) 对于具有可信时间需求的应用系统,应集成时间戳功能,时间戳应遵循《GM/T 0033-2014 时间戳接口规范》;
5) 对于具有信息共享需求的多个应用系统,可采用统一的身份认证模式,实现统一的身份认证管理、用户信息共享和单点登录等功能。
应用集成内容
应用系统数字证书应用集成内容如下:
1) 基于多CA数字证书的互通互认的统一身份认证
2) 数字签名和验证
信息系统中关键业务数据和操作的数字签名,应满足《电子签名法》以及其他相关政策法规规定的书面形式、原件形式及文件保存等要求,至少应包括数据原文、电子签名、可信时间等内容,并可在需要时查询、阅读、下载、验证,具备作为电子证据的真实性、可靠性和可验证性。
数字签名可选和图章结合起来应用,实现电子签章功能,从而实现电子签名的可视化管理,方便用户查看、审阅和验证。
3) 数据加密和解密
数据加密时应采用对称算法和非对称算法相结合的方式,既保障加密机制的安全性、密钥分发的方便性,同时又提高了加解密操作的效率。根据业务需求,可使用单个数字证书加密,也可使用多个数字证书对数据共同加密,形成密文数据。
密文数据应安全存储在数据库或磁盘上,待解密时间达到后方可解密。数据解密时,须使用数字证书对应的密码设备或证书介质解密。如果证书介质损坏或丢失,电子认证服务机构应在安全可控的前提下,为用户及时提供密钥恢复服务。
4) 时间戳应用
电子认证服务机构提供的时间戳服务应基于可靠的标准时间源,确保时间的准确和可信。
5) 密码设备应用
信息系统在使用数字证书安全功能时,应基于密码设备提供的密码服务。密码设备包括客户端用户使用的证书介质和服务器端使用的密码设备。
客户端证书介质是指具有密码许可资质的USBKey、智能IC卡等PC终端上的密码设备,以及符合国家密码政策管理规定的SIM卡、SD卡等手机终端上的密码设备。证书介质应用接口应支持所有主流操作系统,并符合《国家公共资源交易服务平台数字证书介质接口及使用规范》。
服务器端密码设备是指具有密码许可资质的加密机、加密卡等,应支持所有主流操作系统,并符合《公钥密码基础设施应用技术体系密码设备应用接口规范》。
通用密码服务接口调用证书介质应用接口或密码设备应用接口,实现对底层密码设备和证书介质的调用,应支持所有主流操作系统,并符合《公钥密码基础设施应用技术体系通用密码服务接口规范》。
统一证书应用接口规范
统一证书应用接口是应用系统可直接调用的应用接口,分为客户端接口和服务端接口。
客户端接口
客户端接口是供应用在系统客户端应用程序直接调用的接口,应支持主流操作系统,支持IE、Chrome、Firefox等主流浏览器(Chrome和Firefox仅包含支持NPAPI的版本)。客户端接口应支持符合《国家公共资源交易服务平台数字证书格式标准规范》的数字证书,支持使用符合《国家公共资源交易服务平台数字证书介质接口及使用规范》的证书介质。组件、DLL动态链接库和ActiveX控件的产品形态方式提供,支持B/S和C/S架构的应用。客户端接口如下:
ICertificateCollectionX接口
函数
选择数字证书